Knight Capital : 45 minutes, plus de 460 millions de dollars perdus

En 2012, Knight Capital est l’un des plus gros intermédiaires de la bourse américaine : ses robots échangent chaque jour des milliards de dollars d’actions. Le 1er août 2012, à l’ouverture, un de ses programmes se met à acheter et vendre à toute vitesse, sans aucune logique. Quarante-cinq minutes plus tard, Knight a perdu plus de 460 millions de dollars et se retrouve au bord de la faillite.

Knight devait mettre en service, ce jour-là, un nouveau programme pour un service de la Bourse de New York. Le code a été installé sur ses serveurs de routage d’ordres, à la main. Il devait l’être sur huit serveurs ; il ne l’a été que sur sept. Personne ne s’en est aperçu.

Sur ce serveur oublié restait un vieux morceau de code, appelé Power Peg, inutilisé depuis des années mais jamais supprimé. Le nouveau programme réutilisait un drapeau, un simple réglage, qui servait autrefois à activer ce vieux code. Quand les ordres du nouveau service sont arrivés avec ce drapeau, le serveur oublié a réveillé Power Peg.

Power Peg avait été conçu pour acheter et vendre des actions en boucle, dans un contexte qui n’existait plus. Il ne vérifiait plus si ses ordres avaient été exécutés. Il a donc envoyé des ordres, encore et encore, à un rythme de robot.

Des alertes automatiques ont bien été envoyées par courriel avant l’ouverture, mais personne ne les a lues comme une urgence. Il n’existait pas de bouton pour tout arrêter d’un coup. En cherchant le problème, les équipes ont même désinstallé le nouveau code sur les serveurs qui fonctionnaient, ce qui a aggravé la situation.

Knight a dû revendre ses positions à perte, et son action s’est effondrée dans les jours suivants. Le 6 août, un groupe d’investisseurs réuni par la banque Jefferies lui a apporté 400 millions de dollars en échange d’une grande partie de son capital. En 2013, Knight a fusionné avec la société de trading GETCO. En 2013, l’autorité des marchés américaine lui a infligé une amende de 12 millions de dollars, notamment pour l’absence de contrôles avant l’envoi des ordres.

• Un coupe-circuit : un plafond de pertes ou de positions au-delà duquel tout s’arrête, sans attendre une décision humaine.
• Des limites par ordre : une taille maximale, une fréquence maximale, un montant total maximal par jour.
• Une mise en production vérifiée : installation automatique, contrôle que chaque machine exécute la bonne version.
• Pas de code mort : un ancien programme inutilisé doit être supprimé, pas laissé en sommeil.
• Des alertes qui réveillent : une anomalie avant l’ouverture doit bloquer le démarrage, pas finir dans une boîte mail.

• L’exécution compte autant que la stratégie. Knight n’avait pas une mauvaise idée de placement ; elle avait un mauvais déploiement.
• Le pire scénario d’un robot n’est pas une perte de marché, c’est une perte de contrôle.
• Un robot de particulier a besoin des mêmes garde-fous, à son échelle : perte maximale par jour, nombre d’ordres maximal, arrêt automatique.